모든 멤버 계정
CloudTrailOrganization Trail
AWS Config구성 변경 기록
VPC Flow Logs
GuardDuty위협 탐지
Inspector취약점 스캔
Log Archive Account
S3 로그 버킷Object Lock, SSE-KMS
Security LakeOCSF(공통 보안 스키마) 정규화
Audit Account (위임 관리자)
Security Hub통합 Findings, CSPM 표준 점검
GuardDuty, Inspector조직 단위 관리
Detective조사, 상관 분석
Macie민감정보 탐지
대응, 관제 연동
EventBridge자동 대응 트리거
사내 SIEM, 보안관제
로그수집저장 위치보존과 보호
CloudTrail 관리 이벤트Organization Trail, 전 계정 자동Log Archive S3Object LockKMS삭제 차단 SCPCloudTrail 데이터 이벤트중요 S3, Lambda 선별 수집Log Archive S3비용 고려해 대상 선정AWS ConfigControl Tower 기준선Log Archive S3, Aggregator구성 변경 이력 보존VPC Flow Logs계정별 표준 배포Log Archive S3네트워크 접속 증적보안 FindingsGuardDuty, Inspector, Macie, CSPM 점검Security Hub (Audit)SIEM 연동, 조치 이력 관리보존 수명주기기간은 로그와 기록 유형별 법정 보존기간을 준법감시 확인 후 확정S3 Standard최근 로그 조회, 분석
S3 Glacier 계층장기 보관 비용 절감
보존 만료확정된 기간 이후
Object Lock Compliance 모드: 보존 기간 동안 루트 사용자도 삭제 불가
탐지
GuardDuty, Inspector로 이상 행위와 취약점 지속 탐지
집계와 분류
Security Hub 통합, 심각도 기준 자동 분류
대응
EventBridge, Lambda로 인스턴스 격리, 자격증명 비활성화
통보와 보고
관제CISO
즉시 통보, 감독기관 보고 절차와 연계
자동화 범위 (개념도, 상대 비교)
Prod에 바로 자동 격리를 걸지 않습니다
알림 중심으로 시작하고, 검증된 시나리오부터 격리 자동화로 확대합니다.
Q1. 인프라 표준 도구가 Terraform인가요?
Q2. 규제 기준선 전체를 코드로 관리해 감사 증적으로 쓰려 하나요?
Control Tower 기본
콘솔 중심 설정, Blueprint 수준 커스터마이징
운영 부담
빠른 시작, 소규모PoC, 초기 도입
Control Tower + AFT
Terraform 기반 GitOps 계정 발급, 계정별 커스터마이징
운영 부담
Terraform 표준 조직계정 발급 자동화 우선
Control Tower + LZA
YAML 설정 파일로 네트워크, 보안 서비스까지 선언, CDK 파이프라인 배포
운영 부담
규제 산업, 대규모 표준화기준선을 코드로
AFT: Account Factory for Terraform, LZA: Landing Zone Accelerator on AWS. 운영 부담 막대는 상대 비교(낮음, 중간)입니다.
AWS Cloud, 서울 리전
AI Workload Account (Prod OU)
업무 애플리케이션ECS, Lambda
VPC Endpoint (PrivateLink)bedrock-runtime, KB용 bedrock-agent-runtime
호출 기록CloudTrail API 기록, 호출 로그(S3, CloudWatch)를 Log Archive로 복제
인터넷 경로 없음, SCP로 엔드포인트 외 호출 제한
Amazon Bedrock
GuardrailsPII 마스킹, 주제 제한
Claude 모델추론 API
Knowledge BasesS3 문서 RAG
사내 규정, 상품 문서 Q&A
여신 업무 매뉴얼, 상품 설명서, 내규를 Knowledge Bases로 색인해 직원 질의응답 지원
예시: 중도상환수수료 면제 조건 조회
상담 기록 요약과 민원 분류
상담 기록 요약, 민원 유형 자동 분류로 후처리 시간 단축과 VOC 분석
예시: 통화 후 요약, 민원 유형 태깅
보안 Findings 요약
Security Hub Findings를 요약하고 조치 가이드를 생성해 관제 담당자 대응 지원
예시: GuardDuty 탐지 건별 영향도 설명
확인 필요
개인신용정보 처리 여부, Cross-Region Inference 사용 시 데이터 처리 리전, 모델별 서울 리전 제공 여부
서울 외 리전 차단 SCP는 APAC, Global 추론 프로파일 호출도 막으므로 대상 리전 허용이나 bedrock:InferenceProfileArn 예외 필요
서울 외 리전 차단 SCP는 APAC, Global 추론 프로파일 호출도 막으므로 대상 리전 허용이나 bedrock:InferenceProfileArn 예외 필요
사내망
Managed Settings허용 도구, 모델 정책
개발자 단말Claude Code CLI
DX
Shared Services Account
IAM Identity CenterSSO, 임시 자격증명
VPC Endpointbedrock-runtime
Amazon BedrockClaude 모델
OTel 텔레메트리사용량, 비용, 감사 추적
1
IaC 작성과 리뷰
LZA 설정 YAML, Terraform 변경안 작성과 PR 단위 기준선 위반 사전 점검
예시: 신규 계정 추가 설정과 영향 범위 리뷰2
통제 정책 초안 작성
규제 요건을 SCP, Config Rule 초안으로 변환 후 Policy Staging OU에서 검증
예시: Prod OU 서울 외 리전 차단 SCP (Bedrock 추론 프로파일 예외 포함)3
운영 이슈 분석
Config 위반, CloudTrail 이벤트를 분석해 원인과 수정 IaC 제안
예시: 미암호화 EBS 탐지 건 수정 PR확인 필요
내부 단말의 생성형 AI 이용은 SaaS 망분리 예외와 별개(현재 혁신금융서비스, 당국 예외 추진 중)
개발 단말의 Bedrock 연결 경로, 소스 코드 전송 범위와 내부 승인 절차
개발 단말의 Bedrock 연결 경로, 소스 코드 전송 범위와 내부 승인 절차
구조를 먼저 정한다계정 구조, IP 대역, 권한 모델은 첫 워크로드 전에. 나중에 바꾸면 전면 재설계
감독규정 제14조의2규제는 통제 계층으로 번역한다
요건 하나가 계정, 권한, 네트워크, 로그, 탐지 계층의 기술 통제로 이어짐
통제는 겹으로, 시험 후 승격사전, 예방, 탐지 세 겹과 Policy Staging OU. 4.0으로 예방 통제부터 도입하고, 탐지는 Config 통합으로
증적은 따로, 지울 수 없게Log Archive와 Object Lock, Audit 위임 관리자. 통제 결과를 증명하는 구조
다음 단계 제안: 일곱 가지 의사결정 항목 담당자 지정, 1단계 설계 범위 협의, 기존 AWS 계정 현황 공유